An die neuen Menschen der neuen Welt ~ „Das Risiko kommt durch die Tür“
Rund 400.000 USDT wurden aus den Wallets von Predict.fun-Nutzern abgezogen.
Das Team bestätigte, dass es sich um nicht autorisierte Transfers handelte.
Am bemerkenswertesten ist nicht die Summe, sondern der Weg. Ersten Einschätzungen zufolge kam der Angriff über eine von einem Drittanbieter gehostete API-Dokumentationsseite, in die ein bösartiges Skript eingeschleust worden war.
Nicht der Smart Contract wurde geknackt, sondern eine Seite, die völlig harmlos wirkte.
Eine Dokumentation wurde zum Einfallstor.
Das ist die Realität heutiger Sicherheitsprobleme.
Nutzer achten auf Audits von Smart Contracts, Angreifer auf das Umfeld: Dokumentationsseiten, Frontends, Drittanbieterdienste und Abhängigkeiten. Die schwächste Stelle eines Systems liegt oft nicht im Kern, sondern am Rand.
Die Plattform hat eine Entschädigung zugesagt – ein verantwortungsvoller Umgang mit dem Vorfall.
Doch eine Entschädigung behebt den Schaden, nicht die strukturellen Probleme.
Am selben Tag gab es noch zwei weitere Meldungen.
Laut einer Zusammenfassung kam es auf der Website der Keystone-Hardware-Wallet zu einem Datenleck; außerdem wurden rund 18.800 Geräte aus dem Lagerbestand vernichtet (noch nicht verifiziert). Während des Ethereum-Upgrades Glamsterdam wurde eine Schwachstelle in der Routing-Logik für Staking-Einzahlungen noch vor dem Mainnet-Start behoben. Es gingen keine Gelder verloren.
Ein Problem wurde im Nachhinein behoben, das andere im Vorfeld abgefangen.
Der Unterschied liegt nicht im Glück, sondern darin, wann das Problem entdeckt wurde.
Für normale Nutzer lautet die Frage nicht: „Werde ich angegriffen?“, sondern: „Bin ich erledigt, wenn ich angegriffen werde?“
Keine großen Beträge in einer häufig genutzten Wallet aufbewahren. Signaturanfragen auf unbekannten Seiten kritisch hinterfragen. Genehmigungen als eine Art Verbindlichkeit betrachten, die regelmäßig überprüft und bereinigt werden muss.
Erst vermeiden, erledigt zu sein, dann über Rendite sprechen.
Sicherheit ist keine einmalige Einstellung, sondern kontinuierliche Wartung.
Das Vorstehende dient ausschließlich dem Austausch von Informationen und Meinungen und stellt keine Anlageberatung dar.
Im Zentrum tausendfach Wacht,
führt ein Blatt Papier den Angriffspfad.
Warte nicht, bis Geld verloren geht,
wer alte Freigaben löscht, ist besser dran.
—— 明道
Rund 400.000 USDT wurden aus den Wallets von Predict.fun-Nutzern abgezogen.
Das Team bestätigte, dass es sich um nicht autorisierte Transfers handelte.
Am bemerkenswertesten ist nicht die Summe, sondern der Weg. Ersten Einschätzungen zufolge kam der Angriff über eine von einem Drittanbieter gehostete API-Dokumentationsseite, in die ein bösartiges Skript eingeschleust worden war.
Nicht der Smart Contract wurde geknackt, sondern eine Seite, die völlig harmlos wirkte.
Eine Dokumentation wurde zum Einfallstor.
Das ist die Realität heutiger Sicherheitsprobleme.
Nutzer achten auf Audits von Smart Contracts, Angreifer auf das Umfeld: Dokumentationsseiten, Frontends, Drittanbieterdienste und Abhängigkeiten. Die schwächste Stelle eines Systems liegt oft nicht im Kern, sondern am Rand.
Die Plattform hat eine Entschädigung zugesagt – ein verantwortungsvoller Umgang mit dem Vorfall.
Doch eine Entschädigung behebt den Schaden, nicht die strukturellen Probleme.
Am selben Tag gab es noch zwei weitere Meldungen.
Laut einer Zusammenfassung kam es auf der Website der Keystone-Hardware-Wallet zu einem Datenleck; außerdem wurden rund 18.800 Geräte aus dem Lagerbestand vernichtet (noch nicht verifiziert). Während des Ethereum-Upgrades Glamsterdam wurde eine Schwachstelle in der Routing-Logik für Staking-Einzahlungen noch vor dem Mainnet-Start behoben. Es gingen keine Gelder verloren.
Ein Problem wurde im Nachhinein behoben, das andere im Vorfeld abgefangen.
Der Unterschied liegt nicht im Glück, sondern darin, wann das Problem entdeckt wurde.
Für normale Nutzer lautet die Frage nicht: „Werde ich angegriffen?“, sondern: „Bin ich erledigt, wenn ich angegriffen werde?“
Keine großen Beträge in einer häufig genutzten Wallet aufbewahren. Signaturanfragen auf unbekannten Seiten kritisch hinterfragen. Genehmigungen als eine Art Verbindlichkeit betrachten, die regelmäßig überprüft und bereinigt werden muss.
Erst vermeiden, erledigt zu sein, dann über Rendite sprechen.
Sicherheit ist keine einmalige Einstellung, sondern kontinuierliche Wartung.
Das Vorstehende dient ausschließlich dem Austausch von Informationen und Meinungen und stellt keine Anlageberatung dar.
Im Zentrum tausendfach Wacht,
führt ein Blatt Papier den Angriffspfad.
Warte nicht, bis Geld verloren geht,
wer alte Freigaben löscht, ist besser dran.
—— 明道